O que é Service Organization Control Type 2 (SOC 2)?
Service Organization Control Type 2 (SOC 2) é uma auditoria independente que verifica se uma empresa de serviços protege os dados dos clientes e mantém os seus sistemas confiáveis ao longo de um período. Analisa como a empresa opera na prática, não apenas o que está em uma apresentação. Pense nisso como um teste de estresse ao longo de vários meses para segurança e confiabilidade, não um estudo de última hora. Quer saber quem define isso? Veja uma visão geral aqui: System and Organization Controls.
“Uma empresa com Service Organization Control Type 2 (SOC 2) nunca pode sofrer uma violação.” Não é verdade. O relatório confirma que os controles estão projetados e em operação, mas não é um escudo mágico. Ainda são necessários bons hábitos de segurança, monitoramento e bom senso.
Como funciona o Service Organization Control Type 2 (SOC 2)
A seguir, o passo a passo para um custodiante de cripto, exchange ou serviço de carteira que passa por uma auditoria Service Organization Control Type 2 (SOC 2):
- Passo 1: Escolha o escopo e um auditor independente. Exemplo: custódia, gestão de chaves, resposta a incidentes.
- Passo 2: Relacione os controles com os Trust Services Criteria: segurança, disponibilidade, integridade do processamento, confidencialidade, privacidade.
- Passo 3: Operar esses controles por meses enquanto os auditores os testam ao longo de todo o período, não apenas em uma data.
- Passo 4: Os auditores emitem um relatório com opinião, descrição do sistema e resultados detalhados dos testes, incluindo quaisquer exceções.
- Passo 5: A empresa compartilha o relatório sob NDA com clientes e parceiros que o solicitarem.
Isso é tudo. Se quiser a fonte formal, esta página da AICPA descreve o programa: AICPA SOC.
Por que o Service Organization Control Type 2 (SOC 2) é importante
Então, por que isso vale a pena?
- Benefício: Diligência do fornecedor mais rápida. Um relatório pode responder dezenas de perguntas de questionários de segurança.
- Perspectiva: Instituições esperam por isso. Muitos fundos, tesourarias e parceiros fintech tratam o SOC 2 Type 2 como requisito básico.
- Relevância: Você verá isso em custodantes, exchanges, SaaS de análise e infraestrutura de carteiras. Por exemplo, veja como a Fireblocks destaca suas auditorias aqui: Fireblocks security and compliance.
Verifique sempre as datas e o escopo do período de auditoria primeiro. Certifique-se de que é Type 2, não Type 1, e que itens específicos de cripto como gestão de chaves, uso de HSM e resposta a incidentes estão dentro do escopo.
Principais características do Service Organization Control Type 2 (SOC 2)
O que o diferencia, em pontos rápidos que você pode ler de relance:
- Período: Abrange um intervalo de datas para provar que os controles funcionaram ao longo do tempo.
- Critérios: Usa cinco Trust Services Criteria que orientam o que é testado.
- Escopo: Foca nos controles, não em afirmações de marketing ou listas de funcionalidades.
- Auditor: Realizado por uma firma de contadores independentes (CPA) com experiência em atestações.
- Compartilhamento: O relatório completo geralmente é compartilhado sob NDA, não publicado publicamente.
- Afirmação: Declaração da administração sobre o sistema e os controles.
- Opinião: A conclusão do auditor sobre o desenho e a eficácia operacional.
- Descrição: Como o sistema funciona em linguagem simples.
- Testes: Cada controle, como foi testado, e os resultados.
- CUCs: Controles complementares de usuário que você deve executar do seu lado.
Quer ver como as empresas compartilham esses relatórios sob NDA? Muitas hospedam relatórios em portais como o AWS Artifact: AWS Artifact.
Variações
Mesma família, diferentes versões:
- Type 1: O auditor verifica o desenho dos controles em um único ponto no tempo.
- Type 2: O auditor verifica o desenho e a eficácia operacional ao longo de vários meses.
- SOC 1: Foca em controles de relatórios financeiros, não em segurança geral.
- SOC 3: Um resumo amigável ao público do SOC 2 que pode ser compartilhado amplamente.
O SOC 2 trata da confiança nas operações ao longo do tempo. Não certifica que um produto esteja livre de bugs nem que ativos em blockchain estejam sem riscos.
Exemplo
Um fundo cripto solicita ao provedor de custódia seu relatório Service Organization Control Type 2 (SOC 2) e analisa gestão de chaves, controle de mudanças e resposta a incidentes antes de transferir quaisquer ativos.
Curiosidade
O acrônimo SOC era originalmente usado como Service Organization Control, e hoje o patrocinador chama o programa de System and Organization Controls. Mesmas letras, escopo ampliado; AICPA overview explica o conjunto.
Conclusão
Resumo curto: Service Organization Control Type 2 (SOC 2) é o relatório de confiança que permite que parceiros sérios digam sim mais rapidamente.