Avaliação gratuita de prontidão SOC 2
Veja o quanto você está pronto para SOC 2, ISO 27001, HIPAA ou GDPR. Responda perguntas simples, veja sua prontidão por framework e por área de controle e descubra quais lacunas fechar primeiro.
O que é uma avaliação de prontidão SOC 2?
Uma avaliação de prontidão é a verificação que você faz antes do auditor. Ela compara como você conduz a segurança hoje com o que uma auditoria SOC 2 (ou uma certificação ISO 27001, uma revisão HIPAA ou uma avaliação de GDPR) vai examinar, e transforma as diferenças em um plano. As empresas costumam fazê-la quando um cliente pede um relatório SOC 2 ou um questionário de segurança e precisam saber quanto falta.
Esta avaliação gratuita cobre os controles que aparecem em quase toda auditoria e revisão de clientes: governança e risco, controle de acesso, dispositivos, proteção de dados, operações, incidentes, fornecedores e evidências. Ela não substitui uma revisão formal de prontidão por uma firma de auditoria, mas mostra onde você está em poucos minutos.
De qual framework você precisa?
SOC 2 Clientes dos EUA
Um relatório de asseguração de uma firma CPA sobre como seus controles estão desenhados (Type 1) e como funcionaram ao longo de um período (Type 2). O pedido mais comum de clientes SaaS e corporativos dos EUA.
ISO 27001 Global
Uma certificação do seu sistema de gestão de segurança da informação por um organismo acreditado. Comum com clientes do Reino Unido, Europa, Austrália e Ásia.
HIPAA Dados de saúde dos EUA
Lei dos EUA para proteger informações de saúde. Se você lida com PHI para um cliente da área da saúde, precisa das salvaguardas dela e de um acordo de associado comercial.
GDPR Dados pessoais da UE e do Reino Unido
Lei de privacidade para dados pessoais de pessoas na UE e no Reino Unido. Ela se aplica a como você coleta, usa, protege e exclui esses dados, onde quer que esteja sediado.
Como funciona a pontuação
Cada pergunta é um controle que auditores e clientes costumam esperar. "Sim" conta integralmente, "Parcialmente" conta metade, e "Não" ou "Não sei" contam como não implementado. Controles essenciais (como MFA, criptografia de dispositivos, backups, um plano de incidentes e uma avaliação de riscos) contam em dobro. A pontuação de cada framework usa só as perguntas que se aplicam a ele, por isso suas pontuações de SOC 2 e GDPR podem ser diferentes.
- 90% ou mais: pronto para preparar a auditoria: reúna evidências e agende uma revisão de prontidão.
- 70–89%: quase pronto: feche as lacunas restantes e depois comece a reunir evidências.
- 40–69%: em desenvolvimento: um plano focado de alguns meses costuma fechar as lacunas.
- Abaixo de 40%: estágio inicial: comece pela política, MFA, criptografia, backups e um plano de incidentes.
As lacunas mais comuns
- Sem trilha de evidências. Os controles existem, mas ninguém consegue mostrar que funcionaram no último trimestre. O SOC 2 Type 2 é sobre provas ao longo do tempo.
- Desligamento lento. Ex-funcionários continuam com acesso a e-mail ou contas em nuvem por semanas.
- Backups e planos de incidentes não testados. Os dois existem no papel, mas nunca foram testados.
- Sem avaliação de riscos. É um dos primeiros documentos que os auditores pedem e um dos mais rápidos de resolver.
- Fornecedores que ninguém avaliou. Seus clientes avaliam você; os auditores verificam se você avalia seus próprios fornecedores.
SOC 2 Type 1 ou Type 2?
Um relatório Type 1 verifica se seus controles estão bem desenhados em um momento específico. Um relatório Type 2 também testa se eles funcionaram de forma eficaz ao longo de um período, normalmente de três a doze meses. Muitas empresas começam pelo Type 1 para responder rapidamente a um cliente e depois passam para o Type 2. De qualquer forma, as lacunas desta avaliação são as primeiras a fechar.
Perguntas frequentes
Esta avaliação é gratuita?
Sim. Você pode fazer a avaliação quantas vezes quiser, baixar o PDF e compartilhar o snapshot sem criar uma conta.
Minhas respostas são enviadas para algum lugar?
Não. As pontuações são calculadas no seu navegador. Um link de snapshot compartilhado leva as respostas dentro do próprio link. Se você informar seus dados de contato e baixar ou compartilhar, a Sourceably salva esses dados e suas pontuações, a menos que você marque "Não entrar em contato".
Uma pontuação alta significa que estou em conformidade com o SOC 2?
Não. Esta é uma autoavaliação, não uma auditoria, asseguração ou certificação. Somente uma firma CPA licenciada pode emitir um relatório SOC 2, e somente um organismo certificador acreditado pode certificar você na ISO 27001.
Quanto tempo leva para ficar pronto para o SOC 2?
Depende do seu ponto de partida. Empresas que já têm quase toda a base costumam precisar de algumas semanas a alguns meses; depois, um relatório Type 2 exige um período de observação de normalmente três a doze meses.
Posso compartilhar o resultado com um cliente?
Sim. "Compartilhar snapshot" cria um link que mostra suas pontuações, claramente marcadas como autodeclaradas. Para um scorecard em que os clientes possam confiar, verifique seus controles com o agente local da Sourceably.