ricardonevesbraga/flowgrammers-skills/soc2-compliance

SOC 2 Compliance

Preparação para conformidade SOC 2 Tipo I e Tipo II para empresas SaaS. Cobre mapeamento dos Critérios de Serviço de Confiança, geração de matriz de controles, coleta de evidências, análise de lacunas e avaliação de prontidão para auditoria.

Sumário

• Visão Geral
• Critérios de Serviço de Confiança
• Geração de Matriz de Controles
• Fluxo de Trabalho de Análise de Lacunas
• Coleta de Evidências
• Lista de Verificação de Prontidão para Auditoria
• Gestão de Fornecedores
• Conformidade Contínua
• Anti-Padrões
• Ferramentas
• Referências
• Referências Cruzadas

Visão Geral

O que é SOC 2?

SOC 2 (System and Organization Controls 2) é um framework de auditoria desenvolvido pelo AICPA que avalia como uma organização de serviços gerencia os dados de clientes. Aplica-se a qualquer empresa de tecnologia que armazena, processa ou transmite informações de clientes — principalmente SaaS, infraestrutura em nuvem e provedores de serviços gerenciados.

Tipo I vs Tipo II

Quem Precisa de SOC 2?

• Empresas SaaS vendendo para clientes enterprise
• Provedores de infraestrutura em nuvem gerenciando cargas de trabalho de clientes
• Processadores de dados gerenciando PII, PHI ou dados financeiros
• Provedores de serviços gerenciados com acesso a sistemas de clientes
• Qualquer fornecedor cujos clientes exijam asseguração de terceiros

Jornada Típica

Avaliação de Lacunas → Remediação → Auditoria Tipo I → Período de Observação → Auditoria Tipo II → Renovação Anual
    (4-8 sem)          (8-16 sem)     (4-6 sem)          (6-12 meses)            (4-6 sem)          (contínuo)

Critérios de Serviço de Confiança

O SOC 2 é organizado em torno de cinco categorias de Critérios de Serviço de Confiança (TSC). Segurança é obrigatória para todo relatório SOC 2; as outras quatro são opcionais e selecionadas com base na necessidade do negócio.

Segurança (Critérios Comuns CC1-CC9) — Obrigatório

A base de todo relatório SOC 2. Mapeia para os princípios COSO 2013.

Disponibilidade (A1) — Opcional

Selecionar quando: Clientes dependem da sua disponibilidade; você tem SLAs; indisponibilidade causa impacto direto no negócio.

Confidencialidade (C1) — Opcional

Selecionar quando: Você trata segredos comerciais, dados proprietários ou informações contratualmente confidenciais.

Integridade do Processamento (PI1) — Opcional

Selecionar quando: A precisão dos dados é crítica (processamento financeiro, registros de saúde, plataformas de analytics).

Privacidade (P1-P8) — Opcional

Selecionar quando: Você processa PII e os clientes esperam garantia de privacidade (complementa a conformidade LGPD/GDPR).

Geração de Matriz de Controles

Uma matriz de controles mapeia cada critério TSC para controles específicos, responsáveis, evidências e procedimentos de teste.

Estrutura da Matriz

Convenção de Nomenclatura de Controles

{CATEGORIA}-{NÚMERO}
SEC-001 até SEC-NNN  → Segurança
AVL-001 até AVL-NNN  → Disponibilidade
CON-001 até CON-NNN  → Confidencialidade
PRI-001 até PRI-NNN  → Integridade do Processamento
PRV-001 até PRV-NNN  → Privacidade

Fluxo de Trabalho

1. Selecionar categorias TSC aplicáveis com base nas necessidades do negócio
2. Executar control_matrix_builder.py para gerar a matriz de linha de base
3. Customizar controles para corresponder ao ambiente real
4. Atribuir responsáveis e requisitos de evidência
5. Validar cobertura — cada critério TSC selecionado deve ter pelo menos um controle

Fluxo de Trabalho de Análise de Lacunas

Fase 1: Avaliação do Estado Atual

1. Documentar controles existentes — inventariar todas as políticas de segurança, procedimentos e controles técnicos
2. Mapear para TSC — alinhar controles existentes com os Critérios de Serviço de Confiança
3. Coletar amostras de evidências — reunir provas de que os controles existem e operam
4. Entrevistar donos de controles — verificar compreensão e execução

Fase 2: Identificação de Lacunas

Executar gap_analyzer.py em relação aos controles atuais para identificar:

• Controles ausentes — critérios TSC sem controle correspondente
• Parcialmente implementados — controle existe, mas falta evidência ou consistência
• Lacunas de design — controle projetado, mas não trata adequadamente o critério
• Lacunas operacionais (apenas Tipo II) — controle projetado corretamente, mas não operando efetivamente

Fase 3: Planejamento de Remediação

Para cada lacuna, definir:

Fase 4: Planejamento de Cronograma

Coleta de Evidências

Tipos de Evidências por Categoria de Controle

Oportunidades de Automação

Monitoramento Contínuo

Migrar da coleta de evidências pontual para conformidade contínua: