Hoje é um ótimo dia para abreviações, não acha? Ótimo, vamos lá. O Instituto Americano de Contabilistas Públicos Certificados (AICPA) introduziu o Sistema e Controlos Organizacionais (SOC). Este é o nome de um dos requisitos de conformidade mais comuns que as empresas (tecnológicas) devem cumprir atualmente com base nos Critérios de Serviços de Confiança (TSC). Então, o que é o SOC 2 ? Você ainda está seguindo?
OSOC 2 não é uma lista prescritiva de controlos, ferramentas ou processos. Pelo contrário, cita os critérios necessários para manter uma segurança robusta da informação, permitindo que cada empresa adopte as práticas e processos relevantes para os seus próprios objectivos e operações.
Tanto o SOC 2 como a ISO – lembra-se dessa? – são normas reconhecidas internacionalmente que envolvem uma auditoria independente efectuada por uma terceira parte. A diferença entre a ISO 27001 e o SOC 2 é que o SOC 2 é usado principalmente nos EUA e não resulta em uma certificação, mas em um relatório de atestado.
Uma empresa licenciada pela CPA valida que os controlos internos gerais relacionados com os sistemas de informação estão em vigor para garantir o serviço que presta aos seus clientes.
Os Critérios dos Serviços de Confiança
Os requisitos baseiam-se em cinco TSC. Esses critérios são segurança, disponibilidade, integridade de processamento, confidencialidade e privacidade. Confira-os:
- Sécurité refere-se à proteção da informação e dos sistemas contra o acesso não autorizado.
- Disponibilité refere-se ao facto de a infraestrutura, o software ou a informação serem mantidos e disporem de controlos de funcionamento, monitorização e manutenção.
- Intégration des processus garante que os sistemas desempenham as suas funções como previsto. Além disso, que estão isentos de erros, atrasos, omissões e manipulações não autorizadas ou inadvertidas.
- Confidencialidade diz respeito à capacidade da empresa para proteger os dados. Deve ser restringida a um conjunto específico de pessoas ou organizações.
- Privacidade: os critérios referem-se à capacidade de uma organização para proteger as informações de identificação pessoal contra o acesso não autorizado.
A quem se aplica o SOC 2?
Aplica-se a qualquer fornecedor de serviços tecnológicos ou empresa SaaS que trate ou armazene dados de clientes. Os fornecedores terceiros, outros parceiros ou organizações de apoio que trabalham com essas organizações, também devem manter esta conformidade para garantir a integridade dos seus sistemas de dados e salvaguardas.
Por que deveriam? Bem, para além de SOC 2 ser uma excelente palavra de rima, é uma forma incrível de as organizações mostrarem aos clientes e a outras partes interessadas que se preocupam com a segurança dos seus dados. Requisitos rigorosos de conformidade são postos à prova na auditoria no local.
Eles garantem, nomeadamente, que as informações sensíveis estão a ser tratadas de forma responsável. Isto é suscetível de dar às organizações uma vantagem competitiva. Estar em conformidade garante aos outros que eles têm a infraestrutura, ferramentas e processos para proteger suas informações contra acesso não autorizado.
O que também é digno de nota é que as organizações (que implementam os controlos necessários) são menos propensas a sofrer violações de dados ou a violar a privacidade dos utilizadores. Isto protege-as de efeitos negativos, tais como acções regulamentares e danos financeiros ou de reputação. Todos ganham, certo?
Para resumir o que foi dito acima, na prática, se você tem uma conformidade SOC 2, você sabe que sua organização mantém um alto nível de segurança da informação. Isso tem muitas vantagens contra nenhuma desvantagem, o que é uma ótima maneira de encerrar este caso. woohoo!
