A cibersegurança estanque é uma necessidade no panorama empresarial atual. Repleto de ameaças à privacidade e à segurança, o mundo online em que praticamente todas as empresas em fase de arranque operam precisa de ser constantemente monitorizado.
Os clientes pedem para ver provas das medidas de segurança e proteção que estão a ser implementadas para proteger os seus dados, e a certificação é uma forma segura de lhes oferecer a garantia de que necessitam.
O primeiro passo para obter a certificação é decidir qual a norma a adotar. A decisão se resume a duas estruturas quase iguais – ISO 27001 vs SOC 2.
Qual é a diferença entre SOC 2 e ISO 27001?
O SOC 2 e a ISO 27001 são semelhantes, mas com diferenças suficientes para tornar claro para qualquer pessoa que tenha uma boa compreensão de cada um, qual deles se adequará à sua organização. É por isso que é vital que você entenda a diferença entre o SOC 2 e a ISO 27001 antes de decidir qual deles você vai escolher.
O que é o SOC 2?
Desenvolvido pelo Instituto Americano de CPAs, SOC 2 significa Systems and Organisation Controls 2. É uma estrutura de segurança que descreve como as empresas devem proteger os dados de seus clientes usando diretrizes sobre segurança, disponibilidade, integridade de processamento, confidencialidade e privacidade dos dados do cliente
Estas 5 categorias formam o TSC (Trust Services Criteria) que deve ser implementado em toda a organização e infraestrutura de TI da sua empresa se optar pelo SOC 2.
Para saber mais, dê uma vista de olhos a este útil blogue: ‘SOC 2, quem?’
SOC 2 dá-lhe:
- Melhoria das práticas de segurança da informação
- Poupança de custos devido à redução de custos relacionados com violações
- Uma vantagem competitiva graças à maior confiança dos clientes e fornecedores
- Melhoria da conformidade com os requisitos legais e regulamentares
O que é a ISO 27001?
No nosso artigo sobre a definição da ISO 27001, respondemos a esta pergunta frequente. Em resumo, a ISO 27001 foi publicada em 2005 pela Organização Internacional de Normalização e pela Comissão Eletrotécnica Internacional. Trata-se de uma norma para sistemas de gestão da segurança da informação (ISMS) que utiliza a tríade CIA (confidencialidade, integridade e disponibilidade) para proteger os dados.
A ISO 27001 dá-lhe:
- Maior proteção dos activos de informação
- Poupança de custos devido à redução dos custos relacionados com violações
- Risco reduzido de violações de informações
- Aumento da eficiência e eficácia da gestão da segurança
- Melhoria da conformidade com os requisitos legais e regulamentares
- Maior confiança dos clientes, parceiros e acionistas
A diferença mais evidente entre os dois frameworks é que, enquanto a ISO 27001 desenvolve um SGSI, o SOC 2 audita os sistemas de segurança que já estão em vigor.
Após a conclusão, as organizações recebem um certificado para a sua auditoria ISO 27001, enquanto o SOC 2 é um atestado.
| ISO 27001 | SOC 2 |
|---|---|
| Certificação | Atestação |
| ISMS | Controles de segurança |
| Mais extensivo | Foco estreito |
| Norma internacional de certificação de segurança | Conjunto de relatórios de auditoria |
| Prescritivo | Flexível |
Embora não seja específico para ISO 27001 vs SOC 2, talvez uma das diferenças mais interessantes e pouco expostas entre ISO e SOC é o facto de que a ISO contribui para todos os objectivos de desenvolvimento sustentável da ONU. Descubra como, aqui.
Como o SOC 2 e a ISO 27001 diferem em escopo?
Comparando o escopo de cada padrão é onde realmente começamos a ver as diferenças entre eles.
O escopo da ISO 27001 é bastante extenso. Fornece uma carta de gestão de dados e descreve como uma empresa pode provar que tem um ISMS funcional. Audita a eficácia global do Sistema de Gestão da Segurança da Informação de uma organização utilizando mais de 100 controlos que se dividem em 14 conjuntos:
Anexo A.5 – Políticas de segurança da informação (2 controlos)
Anexo A.6 – Organização da segurança da informação (7 controlos)
Anexo A.7 – Segurança dos recursos humanos (6 controlos)
Anexo A.8 – Gestão de activos (10 controlos)
Anexo A.9 – Controlo do acesso (14 controlos)
Anexo A.10 – Criptografia (2 controlos)
Anexo A.11 – Segurança física e ambiental (15 controlos)
Anexo A.13 – Segurança das comunicações (7 controlos)
Anexo A.14 – Aquisição, desenvolvimento e manutenção de sistemas (13 controlos)
Anexo A.15 – Relações com fornecedores (5 controlos)
Anexo A.16 – Gestão de incidentes de segurança da informação (7 controlos)
Anexo A.17 – Aspectos da segurança da informação na gestão da continuidade das actividades (4 controlos)
Anexo A.18 – Conformidade (8 controlos)
O âmbito do SOC 2 não é tão amplo e mostra apenas como uma organização implementou controlos essenciais de segurança de dados. No entanto, proporciona uma certa flexibilidade às organizações que pretendem atualizar a sua conformidade.
Por exemplo, dentro dos 5 TSCs acima mencionados, existem 64 requisitos. As organizações devem ter políticas e procedimentos em vigor para cumprir esses requisitos. Para uma compreensão pormenorizada dos 64 requisitos, consulte este artigo de Nicole Hemmer.
Como o SOC 2 e a ISO 27001 diferem em aplicabilidade no mercado/região?
O SCOC 2 é usado principalmente na América do Norte, enquanto a ISO 27001 (nesta fase) é preferível para fora dos EUA. Para além disto, não há realmente qualquer diferença em termos de aplicabilidade regional.
Quanto aos mercados, ambas as estruturas se aplicam a todo e qualquer mercado, portanto, tudo se resume à preferência pessoal e ao que você acredita que seus clientes acharão mais tranquilizador em termos de segurança.
Em que é que os processos de certificação são diferentes?
Não há realmente nenhuma diferença, exceto que a certificação ISO deve ser conduzida por um auditor, enquanto a acreditação SOC 2 só pode ser conduzida por um CPA licenciado.
De acordo com o site oficial do SOC 2, “Estritamente, um relatório SOC 2 não é uma certificação. É um relatório de controlo de uma organização de serviços com um relatório de garantia em conformidade com o SOC 2 e/ou ISAE 3000. Geralmente, no mercado, é muitas vezes referido como uma certificação SOC 2.”
Tanto o SOC 2 quanto a ISO 27001 exigem que as empresas passem por um processo de quatro fases: análise de lacunas, avaliação de riscos, implementação e certificação.
Resultados diferentes entre os processos SOC 2 e ISO 27001
Entretanto, ambas as normas seguem processos semelhantes, mas os resultados são diferentes.
| ISO 27001 | SOC 2 |
|---|---|
| Os auditores da ISO 27001 avaliarão os processos de gestão da sua organização, a gestão de fornecedores, a segurança da rede e a gestão de activos. | Os auditores daSOC 2 analisarão os controlos internos no que respeita aos relatórios financeiros, à segurança e à conformidade. |
| A ISO 27001 é certificada por um organismo de certificação credenciado pela ISO 27001. | O SOC 2 é atestado por uma empresa de CPA licenciada. |
| Um certificado da ISO 27001 é válido por três anos com uma auditoria de vigilância a cada ano. | A partir da data do relatório, os relatórios SOC 2 tipo 1 e tipo 2 permanecem válidos no setor por 12 meses. |
Talvez a frase-chave quando se olha para as duas estruturas seja “certificação”. A ISO 27001 é exatamente isso – uma certificação. Ela fornece um pedaço de papel oficial que pode ser pendurado na parede para mostrar que você é certificado.
A ISO 27001 é definitiva – ou você é certificado, ou não é. Não há meio termo. Não há meio termo. No entanto, mesmo que você obtenha seu certificado, seu auditor pode fazer recomendações para tratar quaisquer não-conformidades menores (ou mesmo maiores). Estas devem ser tratadas tão rápida e completamente quanto possível.
Ao contrário de um certificado, o atestado SOC 2 é um documento longo que não lhe dá uma “aprovação” ou “reprovação” oficial. O resultado final é uma opinião fornecida por um CPA (Contador Público Certificado) licenciado.
Quais opiniões diferentes podem ser aplicadas no seu relatório de atestado SOC 2?
Existem 4 tipos de opiniões que podem ser aplicadas no seu relatório de atestação SOC 2:
Parecer não qualificado
Uma opinião não qualificada significa que a sua auditoria foi bem sucedida e que os controlos foram concebidos, implementados e estão a funcionar como deveriam. Basicamente, você passou.
Parecer Qualificado
Alguns controlos não foram concebidos ou não estão a funcionar como deveriam. Embora isto seja extraoficialmente uma “falha”, os controlos que não estavam à altura podem não ter qualquer impacto nos seus clientes (dependendo de quem eles são).
Parecer de isenção de responsabilidade
Se o CPA não puder emitir um parecer por falta de informação suficiente, emitirá um parecer de exoneração de responsabilidade.
Parecer adverso
Isto fala por si. O CPA não ficou satisfeito com os controlos e recomenda que os clientes não confiem nos seus sistemas.
As semelhanças entre estas duas estruturas de conformidade
Tão semelhantes quanto diferentes, o SOC 2 e a ISO 27001 oferecem maiores garantias de segurança de dados.
As duas normas cobrem áreas importantes da segurança da informação e, embora nenhuma seja obrigatória, ambas ajudam as empresas a criar confiança, a manterem-se em conformidade, a manterem-se a par das suas próprias práticas de dados e segurança e infra-estruturas de TI, melhorando continuamente a segurança dos dados.
SOC 2 e ISO 27001 são auditadas por um terceiro independente e levam aproximadamente o mesmo tempo para serem concluídas.
Qual é o melhor para o seu negócio?
Quando é que deve escolher o SOC 2?
Pode preferir o SOC 2 se:
- Operar apenas nos EUA
- Já tem um SGSI implementado
Quando é que deve escolher a ISO 27001
A ISO 27001 é para si se:
- Trabalha com empresas na Europa e/ou Ásia, e com empresas americanas que operam fora dos Estados Unidos
- Quer desenvolver um SGSI
Perguntas frequentes sobre a ISO 27001 e o SOC 2
É possível utilizar a ISO 27001 e o SOC 2 ao mesmo tempo?
Sim, é possível usar as estruturas ISO 27001 e SOC 2 ao mesmo tempo. A ISO 27001 é uma estrutura de sistema de gerenciamento de segurança da informação (ISMS) que fornece uma abordagem sistemática para o gerenciamento de informações confidenciais da empresa, enquanto o SOC 2 é um conjunto de padrões de auditoria projetado para avaliar a segurança, a disponibilidade, a integridade do processamento, a confidencialidade e a privacidade dos serviços baseados em nuvem. A implementação de ambas as estruturas pode ajudar a garantir controlos de segurança abrangentes e a melhorar a postura geral de segurança da sua organização.
Quando é que a certificação SOC 2 não é suficiente?
A certificação SOC 2 pode não ser suficiente em determinadas situações, como por exemplo:
- Quando é necessário estar em conformidade com regulamentos ou normas específicas que exigem a certificação ISO 27001.
- Quando é necessário demonstrar um forte compromisso com a segurança da informação a clientes ou parceiros que exigem a certificação ISO 27001.
- Quando precisa de expandir o seu negócio a nível global e pretende cumprir as normas internacionais de segurança da informação.
- Quando pretende implementar um sistema de gestão de segurança da informação abrangente que cubra todos os aspetos da segurança da informação da sua organização.
Tenho uma clientela global. Que estrutura de conformidade devo usar?
Se tiver uma clientela global, recomenda-se que implemente as estruturas ISO 27001 e SOC 2 para garantir controlos de segurança da informação abrangentes. A ISO 27001 é uma norma internacionalmente reconhecida para a gestão da segurança da informação e a SOC 2 é amplamente utilizada nos EUA para avaliar a segurança dos serviços baseados na nuvem. A implementação de ambas as estruturas pode ajudar a cumprir os requisitos dos seus clientes em todo o mundo e demonstrar o seu compromisso com a segurança da informação.
Como obtenho a adesão da liderança para usar qualquer uma das estruturas de conformidade?
Para obter a adesão da liderança para usar qualquer uma das estruturas de conformidade, você pode:
- Explicar os benefícios da estrutura, como a melhoria da postura de segurança, a conformidade com regulamentos e padrões e o aumento da confiança do cliente.
- Descreva os custos e os recursos necessários para a implementação e o ROI potencial em termos de segurança aprimorada e maiores oportunidades de negócios.
- Discutir os riscos de não implementar a estrutura, como violações de dados e multas regulamentares.
- Fornecer estudos de caso ou exemplos de organizações que implementaram com sucesso a estrutura e os benefícios que obtiveram.
- Envolver a liderança no processo de tomada de decisão e buscar sua contribuição e apoio durante todo o processo de implementação.
Posso obter a certificação ISO 27001 e SOC 2 ao mesmo tempo?
Sim, é possível obter a certificação ISO 27001 e SOC 2 ao mesmo tempo. No entanto, são necessários recursos e planeamento significativos para implementar ambas as estruturas e passar nas auditorias de certificação. Recomenda-se que avalie a preparação da sua organização para ambas as certificações e desenvolva um plano de implementação abrangente que aborde os requisitos de ambas as estruturas. Pode também considerar a contratação de um consultor ou auditor com experiência em ambas as estruturas para o ajudar no processo de implementação e certificação.
Como pode simplificar a sua conformidade?
No entanto, você faz o que faz e os responsáveis pela conformidade fazem o que fazem, portanto, encontrar uma empresa de conformidade que esclareça melhor a diferença entre o SOC 2 e a ISO 27001 é uma obrigação. Eles o ajudarão a decidir qual padrão implementar e até mesmo tornarão sua jornada de conformidade (quase) divertida.
Veja como a Compleye simplificou a conformidade para várias empresas em fase de arranque. Por fim, ligue para nós e começaremos sua jornada ajudando-o a tomar a decisão entre essas duas estruturas quase iguais – ISO 27001 vs SOC 2.
