Preparação para Auditoria SOC 2 Tipo II

Quando Usar

• Ao se preparar para um engajamento de auditoria SOC 2 Tipo II com uma firma de CPA
• Ao realizar uma avaliação de lacunas contra os Critérios de Serviços de Confiança da AICPA
• Ao automatizar a coleta de evidências em infraestrutura de nuvem e provedores de identidade
• Ao validar que os controles operaram efetivamente durante o período de auditoria (3-12 meses)
• Ao construir monitoramento contínuo de conformidade para manter a postura SOC 2 entre as auditorias
• Ao remediar lacunas de controle identificadas durante a avaliação de prontidão

Pré-requisitos

• Familiaridade com os Critérios de Serviços de Confiança da AICPA (CC1-CC9)
• Acesso às APIs do provedor de nuvem (AWS, Azure ou GCP) com permissões de somente leitura
• Acesso ao provedor de identidade (Okta, Azure AD, Google Workspace)
• Acesso ao sistema de controle de versão (GitHub, GitLab)
• Acesso ao sistema de tickets (Jira, Linear, ServiceNow)
• Python 3.8+ com boto3, requests, pyyaml dependências
• Autorização apropriada para coletar evidências de conformidade

Instruções

1. Entender os Critérios de Serviços de Confiança

O SOC 2 é construído sobre cinco Categorias de Serviços de Confiança definidas pela AICPA. Segurança (Critérios Comuns CC1-CC9) é obrigatório; os outros são selecionados com base na relevância para o negócio:

2. Detalhamento dos Critérios Comuns (CC1-CC9)

CC1 - Ambiente de Controle: Supervisão do conselho, estrutura gerencial, integridade e valores éticos, políticas de RH, responsabilidade.

CC2 - Comunicação e Informação: Comunicação interna/externa de políticas de segurança, limites do sistema, funções e responsabilidades.

CC3 - Avaliação de Riscos: Identificação de riscos, análise de risco de fraude, avaliação de impacto de mudanças, definição de tolerância a riscos.

CC4 - Atividades de Monitoramento: Avaliações contínuas de controle, identificação de deficiências, rastreamento de remediação, auditoria interna.

CC5 - Atividades de Controle: Mapeamento de políticas para procedimentos, controles de tecnologia, implantação de controles em toda a entidade.

CC6 - Controles de Acesso Lógico e Físico: Autenticação, autorização, provisionamento/desprovisionamento de acesso, segurança física, criptografia.

CC7 - Operações do Sistema: Detecção de anomalias, resposta a incidentes, gerenciamento de vulnerabilidades, detecção de mudanças, monitoramento de eventos.

CC8 - Gerenciamento de Mudanças: Autorização de mudanças, testes, fluxos de trabalho de aprovação, mudanças de emergência, procedimentos de reversão.

CC9 - Mitigação de Riscos: Gerenciamento de risco de fornecedores, continuidade de negócios, seguros, aceitação de risco residual.

3. Realizar Avaliação de Lacunas

Antes do início do período de auditoria, realize uma avaliação de prontidão com 8-12 semanas de antecedência:

# Define control matrix against CC criteria
gap_assessment = {
    "CC1": {
        "CC1.1": {
            "criteria": "COSO Principle 1: Demonstrates commitment to integrity",
            "control": "Code of conduct signed annually by all employees",
            "evidence": "Signed acknowledgments in HR system",
            "status": "implemented",
            "gap": None,
        },
        "CC1.2": {
            "criteria": "COSO Principle 2: Board exercises oversight",
            "control": "Quarterly board security reviews",
            "evidence": "Board meeting minutes with security agenda items",
            "status": "partial",
            "gap": "No documented security committee charter",
        },
    },
}

4. Automatizar a Coleta de Evidências

Colete evidências continuamente durante o período de auditoria de sistemas integrados:

import boto3

# Evidência CC6: Controles de acesso IAM da AWS
iam = boto3.client("iam")

# Coletar status MFA para todos os usuários IAM
users = iam.list_users()["Users"]
mfa_evidence = []
for user in users:
    mfa_devices = iam.list_mfa_devices(UserName=user["UserName"])
    mfa_evidence.append({
        "user": user["UserName"],
        "mfa_enabled": len(mfa_devices["MFADevices"]) > 0,
        "created": user["CreateDate"].isoformat(),
    })

# Evidência CC7: Status de log do AWS CloudTrail
cloudtrail = boto3.client("cloudtrail")
trails = cloudtrail.describe_trails()["trailList"]
logging_evidence = []
for trail in trails:

…