Conformidade SOC 2

Implemente controles dos Critérios de Serviços de Confiança SOC 2, coleta de evidências e monitoramento contínuo de conformidade para auditorias Tipo I e Tipo II.

Quando Usar

• Preparando-se para uma auditoria SOC 2 Tipo I ou Tipo II
• Mapeando controles existentes para os Critérios de Serviços de Confiança
• Automatizando a coleta de evidências para solicitações de auditores
• Integrando o monitoramento contínuo de conformidade ao CI/CD
• Integrando novos serviços e garantindo a cobertura de controle SOC 2

Checklist Detalhado dos Critérios de Serviços de Confiança

security_common_criteria:
  CC1_control_environment:
    CC1.1: "A gerência demonstra compromisso com a integridade e valores éticos"
    CC1.2: "O conselho exerce supervisão sobre os controles internos"
    CC1.3: "A gerência estabelece estrutura, autoridade e responsabilidade"
    CC1.4: "Compromisso com a competência - contratar e reter pessoal qualificado"
    CC1.5: "Indivíduos são responsabilizados pelas responsabilidades de controle interno"
    evidence:
      - Documento de código de conduta
      - Organograma
      - Descrições de cargo com responsabilidades de segurança
      - Atas de reunião do conselho discutindo segurança
      - Política e registros de verificação de antecedentes

  CC2_communication:
    CC2.1: "A entidade obtém ou gera informações relevantes de qualidade"
    CC2.2: "A entidade comunica internamente informações, incluindo objetivos e responsabilidades"
    CC2.3: "A entidade se comunica com partes externas"
    evidence:
      - Registros de treinamento de conscientização de segurança
      - Boletins informativos ou atualizações internas de segurança
      - Documentação de segurança voltada para o cliente
      - Registros de página de status e comunicação de incidentes

  CC3_risk_assessment:
    CC3.1: "A entidade especifica claramente os objetivos para identificar e avaliar riscos"
    CC3.2: "A entidade identifica riscos para o alcance dos objetivos"
    CC3.3: "A entidade considera o potencial de fraude"
    CC3.4: "A entidade identifica e avalia mudanças significativas"
    evidence:
      - Relatório anual de avaliação de riscos
      - Registro de riscos com classificações e planos de tratamento
      - Documentação de avaliação de risco de fraude
      - Registros de gerenciamento de mudanças

  CC4_monitoring:
    CC4.1: "A entidade seleciona, desenvolve e realiza avaliações contínuas/separadas"
    CC4.2: "A entidade avalia e comunica deficiências de controle interno"
    evidence:
      - Capturas de tela do painel de monitoramento contínuo
      - Relatórios de auditoria interna
      - Resultados de varredura de vulnerabilidades
      - Relatórios de testes de penetração

  CC5_control_activities:
    CC5.1: "A entidade seleciona e desenvolve atividades de controle para mitigar riscos"
    CC5.2: "A entidade seleciona e desenvolve controles baseados em tecnologia"
    CC5.3: "A entidade implementa atividades de controle por meio de políticas e procedimentos"
    evidence:
      - Política de segurança da informação
      - Procedimentos de controle de acesso
      - Procedimentos de gerenciamento de mudanças
      - Documentação de padrões de criptografia

  CC6_logical_access:
    CC6.1: "Segurança de acesso lógico sobre ativos de informação protegidos"
    CC6.2: "Antes do acesso, os usuários são registrados e autorizados"
    CC6.3: "O acesso a dados, software, funções e outros recursos de TI é autorizado e modificado"
    CC6.6: "Medidas de segurança de acesso lógico contra ameaças de fora dos limites do sistema"
    CC6.7: "A transmissão de dados entre partes é protegida"
    CC6.8: "Controles para prevenir ou detectar software não autorizado ou malicioso"
    evidence:
      - Relatório de credenciais IAM
      - Configuração de imposição de MFA
      - Registros de conclusão de revisão de acesso
      - Configurações de firewall e WAF
      - Configurações de TLS/criptografia
      - Registros de implantação de proteção de endpoint

  CC7_system_operations:
    CC7.1: "Detectar anomalias e potenciais incidentes de segurança"
    CC7.2: "Monitorar componentes do sistema para anomalias"
    CC7.3: "Avaliar eventos detectados e determinar incidentes"
    CC7.4: "Responder a incidentes de segurança identificados"
    CC7.5: "Identificar e remediar incidentes de segurança"
    evidence:
      - Regras e painéis de alerta SIEM
      - Configuração de monitoramento (CloudWatch, Datadog, etc.)
      - Plano de resposta a incidentes
      - Tickets de incidentes e post-mortems

  CC8_change_management:
    CC8.1: "A entidade autoriza, projeta, desenvolve, configura, documenta, testa, aprova e implementa mudanças"
    evidence:
      - Política de gerenciamento de mudanças
      - Requisitos de aprovação de pull request
      - Configurações de pipeline CI/CD
      - Registros de implantação com aprovações

  CC9_risk_mitigation:
    CC9.1: "A entidade identifica, seleciona e desenvolve atividades de mitigação de riscos"

…