SOC 2 · Controles de acesso

SOC 2: o que é, Tipo 1 e Tipo 2.
E os controles de acesso que o auditor vai testar.

SOC 2 é o relatório em que um auditor independente avalia os controles de uma empresa que presta serviço a outras, como um SaaS. O cliente enterprise pede o relatório para confiar os dados dele a você. O controle de acesso está no centro dos critérios comuns (CC6). Veja o que é, a diferença entre Tipo 1 e Tipo 2 e como preparar a evidência de acesso.

Fale com um especialista

Funciona com Microsoft Entra ID e Google Workspace

O que é

Um relatório de auditoria, não um certificado

SOC 2 (System and Organization Controls 2) é um padrão de relatório do AICPA, o instituto dos contadores dos EUA. Uma firma de auditoria independente avalia os controles da empresa com base nos Trust Services Criteria e emite um relatório com a sua opinião. Não há certificado: o que circula é o relatório, que o cliente lê sob confidencialidade. Existe um logo do AICPA que a empresa auditada pode usar, mas ele só indica que o relatório existe. Nenhuma lei ou norma brasileira exige SOC 2 pelo nome. Quem pede é o cliente, em geral na compra ou na renovação.

Segurança

Obrigatória em todo SOC 2

Os nove critérios comuns (CC1 a CC9), que vão do ambiente de controle ao acesso lógico e físico e à gestão de mudanças.

Disponibilidade

O sistema funciona quando prometido

Capacidade, backup e recuperação. Entra quando o cliente depende do serviço no ar.

Integridade do processamento

O sistema processa certo

Dados completos, válidos e no prazo. Comum em serviços de pagamento e processamento.

Confidencialidade e privacidade

O dado é protegido e usado como combinado

Informação confidencial e dados pessoais, do uso ao descarte. A empresa escolhe quais categorias entram além da segurança.

Tipo 1 e Tipo 2

A diferença está no período

O Tipo 1 olha o desenho dos controles num dia. O Tipo 2 olha se eles funcionaram durante meses. Na prática, o cliente enterprise costuma pedir o Tipo 2.

SOC 2 Tipo 1SOC 2 Tipo 2

O que o auditor avaliaSe os controles estão bem desenhados e implantados numa dataSe os controles estão bem desenhados e funcionaram durante o período

PeríodoUma dataUm período, em geral de 6 a 12 meses; o primeiro relatório pode cobrir um período menor

Como testaDesenho e implantação de cada controleAmostras do período inteiro: pedidos, desligamentos, revisões

Quando faz sentidoPrimeiro relatório, para mostrar ao cliente que os controles existemQuando o cliente quer prova de que o controle funciona no dia a dia

Acesso lógico

Os controles de acesso que o auditor testa

O acesso lógico fica no critério CC6 da segurança e nos seus pontos de foco, que o auditor usa para montar os testes (veja os critérios CC6 em detalhe). No Tipo 2, o auditor pede a regra, tira amostras do período e confere a evidência de cada uma. A terceira coluna mostra onde costuma falhar.

ControleO que o auditor espera verFalha comum

Concessão de acessoUsuário criado só depois de pedido e aprovação, com o perfil do cargoConta criada por mensagem, sem pedido registrado

DesligamentoPara cada desligado da amostra, acesso removido no prazo da política em todos os sistemas do escopoSaaS fora do SSO com a conta ativa semanas depois

Mudança de funçãoAcesso do cargo anterior retirado quando a pessoa muda de áreaA pessoa acumula os acessos dos cargos anteriores

Menor privilégio e segregação de funçõesPerfis com só o necessário e sem etapas conflitantes (veja a matriz SoD). A segregação de funções fica no CC5.1, o menor privilégio no CC6Todo mundo administrador no SaaS "para não travar"

Revisão periódica de acessosRevisões feitas na frequência definida, com revisor, data e decisão por usuário, durante todo o períodoUma revisão só, feita na véspera da auditoria

Acesso privilegiadoAdministradores nomeados, poucos e justificadosConta de administrador compartilhada

AutenticaçãoA regra de senha e de MFA que a política define, aplicada nos sistemas do escopoMFA na política e não no sistema

Como preparar

A evidência de acesso para o SOC 2 em cinco passos

1. Escopo

Defina os sistemas do relatório

O produto, a nuvem, o repositório de código, o suporte e os SaaS que tocam dados de clientes. O que está no escopo é o que o auditor vai testar.

2. Política

Escreva a regra que vai ser seguida

Quem aprova o acesso, em quanto tempo o desligado perde o acesso e com que frequência os acessos são revisados. O auditor testa contra o que está escrito.

3. Lista

Saiba quem tem acesso a quê

Usuários e perfis de cada sistema do escopo, cruzados com o RH: quem é a pessoa, o cargo e se ainda está na empresa.

4. Rotina

Rode os controles o período inteiro

Pedidos aprovados, desligados removidos no prazo e revisões na frequência da política. No Tipo 2, cada mês do período pode cair na amostra.

5. Evidência

Guarde a prova enquanto acontece

Quem pediu, quem aprovou, quem revisou, quando foi removido. Reconstruir isso no fim do período é onde o projeto atrasa.

Comparação

SOC 2, SOC 1, SOC 3 e ISO 27001

SOC 1

Controles que afetam o balanço do cliente

Para serviços que entram no relatório financeiro de quem contrata, como folha ou processamento de pagamentos.

SOC 3

A versão pública

Um resumo do SOC 2 sem o detalhe dos testes, que pode ser publicado no site.

ISO 27001

Uma certificação, não um relatório

Um organismo certifica o sistema de gestão de segurança da informação. Muitos controles de acesso se repetem nos dois. Veja os controles de identidade da ISO 27001 e os ITGC para auditoria.

Como a Niuco ajuda

A evidência nasce da rotina, não da véspera da auditoria.

A governança de identidade (IGA) da Niuco mantém o inventário de quem tem acesso a quê nos sistemas conectados e o cruza com a folha de pagamento: quem entrou, mudou de cargo ou saiu. As campanhas de revisão de acessos levam a lista ao gestor, registram cada decisão e guardam a evidência para o auditor. Desligado que segue com acesso aparece no painel de risco, com remoção em massa mediante aprovação. A Niuco não emite nem garante o relatório SOC 2: a opinião é do auditor. Ela apoia os controles de acesso e guarda a evidência. A Niuco não substitui o SSO nem o diretório: ela trabalha junto com o Microsoft Entra ID e o Google Workspace.

Veja a revisão de acessos na prática

Material informativo. Não substitui orientação jurídica.

Perguntas frequentes sobre SOC 2

Se a sua dúvida não estiver aqui, fale com um especialista — a conversa leva 30 minutos.

É um relatório em que uma firma de auditoria independente avalia os controles de uma empresa que presta serviço a outras, com base nos Trust Services Criteria do AICPA. A segurança é obrigatória; disponibilidade, integridade do processamento, confidencialidade e privacidade entram conforme o serviço. Não é certificado: o que o cliente recebe é o relatório, sob confidencialidade.

O Tipo 1 avalia se os controles estão bem desenhados e implantados numa data. O Tipo 2 avalia também se funcionaram durante um período, em geral de 6 a 12 meses (o primeiro relatório pode cobrir um período menor), com amostras de todo o período. O cliente enterprise costuma pedir o Tipo 2.

Não. O SOC 2 é um relatório de auditoria com a opinião do auditor, não uma certificação. A ISO 27001, essa sim, é uma certificação emitida por um organismo certificador.

Os do critério CC6 e dos seus pontos de foco: concessão de acesso com aprovação, remoção no desligamento e na mudança de função, menor privilégio, acesso privilegiado, autenticação e a revisão periódica que mostra que os acessos seguem corretos. No Tipo 2, o auditor tira amostras do período e confere a evidência de cada uma.

Não. Nenhuma lei ou norma brasileira exige SOC 2 pelo nome. Mas bancos, instituições de pagamento e corretoras precisam verificar, antes de contratar um serviço relevante de nuvem ou processamento, as certificações e os relatórios de auditoria independente do fornecedor (Resolução CMN 4.893 e Resolução BCB 85, art. 12, II, d e e). É aí que entram o SOC 2 e a ISO 27001.

O relatório SOC 2 começa pela lista de acessos.

Fale com um especialista sobre revisão de acessos e evidência para auditoria.