0 
0 As organizações que desejam provar aos outros – e a si mesmas – que possuem um sólido programa de segurança cibernética e privacidade de dados passarão por uma auditoria SOC 2 . Como tal, uma auditoria SOC 2 é um grande negócio, é exigente e requer uma preparação séria.
As auditorias SOC foram criadas pelo Instituto Americano de CPAs (AICPA) sob várias estruturas de avaliação e relatórios que compreendem os cabeçalhos de Controles de Sistema e Organização SOC 1, SOC 2 e SOC 3. Embora cada um deles tenha valor, muitas organizações perguntam a seus fornecedores e empresas parceiros – e eles próprios são solicitados – especificamente a fornecer os resultados de uma auditoria SOC 2 Tipo 2. Para esse tipo, os auditores avaliam as organizações em relação à estrutura SOC 2 e aos cinco critérios de serviço de confiança do AICPA – segurança, disponibilidade, integridade de processamento, confidencialidade e privacidade. As organizações usam relatórios de auditoria SOC 2 como um padrão confiável que informa aos outros em detalhes sobre como estão protegendo os dados em cada uma dessas cinco áreas.
“É uma demonstração de que tomamos precauções, que fizemos todo esse trabalho para que você possa confiar em nós”, diz Kevin R. Powers, fundador e diretor do MS em Programas de Política e Governança de Segurança Cibernética do Boston College.
Aqui estão alguns pontos de discussão sobre o que o trabalho avançado do SOC 2 deve cobrir:
1. Escolha quais critérios de serviço de confiança SOC 2 avaliar
Embora todas as organizações sejam avaliadas em relação aos critérios de segurança ao serem submetidas a essa auditoria, elas podem escolher quais dos outros quatro critérios de serviço de confiança serão incluídos em sua auditoria. AJ Yawn, autor de An Expert’s Guide to Review SOC 2 Reports do SANS Institute, aconselha as empresas a decidir quais princípios incluir com base no que seus clientes consideram importante.
“Você não quer tomar essa decisão com base no que os auditores lhe dizem. Pense em tudo o que você está fazendo através das lentes dos leitores do relatório e certifique-se de comunicar o que eles se importam”, diz Yawn, que também é fundador e CEO da ByteChek e membro do conselho fundador da National Association of Profissionais de Compliance e Gestão de Riscos Negros .
Por exemplo, uma empresa que fornece aplicativos que não são considerados por seus clientes como de missão crítica pode optar por não ser avaliada quanto à disponibilidade e se concentrar em outras áreas que significam mais para seus clientes.
2. Ir sozinho ou buscar ajuda?
Uma auditoria SOC 2 custa dezenas de milhares de dólares, por isso é importante que os executivos considerem se têm funcionários com habilidades e tempo para se preparar adequadamente para a auditoria real ou se precisam contratar uma equipe externa para assumir esse trabalho, diz Powers, que também é professor assistente na Boston College Law School e na Carroll School of Management.
Richard White, professor adjunto e presidente do curso de Garantia de Informações de Segurança Cibernética da Universidade de Maryland, diz que é possível fazer isso sozinho “mas pode ser assustador, então contratar um fornecedor para apoiá-lo – pelo menos pela primeira vez – é uma opção recomendada.”
3. Revise as políticas organizacionais
White observa que os auditores revisam as políticas organizacionais como parte de todos os exames SOC 2, portanto, é melhor definir essas políticas antes do início do processo. “Você tem as políticas escritas? Os fluxos de trabalho anotados? E há também a implementação – você as implementou corretamente? Você tem que olhar para tudo isso porque isso pode afetar o sucesso.”
Há uma longa lista de políticas para revisão, dizem os especialistas, desde o uso aceitável e políticas de controle de acesso até o gerenciamento de fornecedores e políticas de segurança de estações de trabalho. Eles devem ser bem documentados e atualizados – tarefas que são desafiadoras para muitos.
“As empresas tendem a anotar seus controles e nunca mais consultá-los, portanto, a preparação para a auditoria é um momento apropriado para analisá-los e atualizá-los se eles não refletirem o que você está fazendo”, diz Paul Perry, membro da o Grupo de Trabalho de Tendências Emergentes com o grupo de governança ISACA e o Líder de Práticas de Segurança, Riscos e Controles com a firma de contabilidade e consultoria Warren Averett.
4. Confirme se as operações correspondem às políticas
Os auditores querem ver políticas bem documentadas, mas também querem vê-las em ação para verificar se as organizações estão fazendo na prática cotidiana o que essas políticas dizem que deveriam fazer.
Por exemplo, engenheiros de software podem estar testando código, mas precisam fazê-lo de uma maneira que siga os requisitos de processo e documentação descritos nas políticas da organização. Esse é o tipo de ação que os auditores vão querer ver, diz Yawn.
5. Examine os controles de segurança e privacidade
Revise os controles de segurança e privacidade para garantir que estejam alinhados com as próprias políticas de segurança e privacidade da organização, bem como com os requisitos regulatórios e as práticas recomendadas do setor. Isso significa examinar tudo, desde controles de acesso até criptografia e verificação de vulnerabilidades (no local e na nuvem), bem como confirmar se os controles corporativos estão alinhados aos critérios SOC 2 ou, se não estiverem, documentar os motivos da divergência.
“Examine seus controles – seus controles de acesso, criptografia, sua defesa em camadas”, diz Powers. “Antes de trazer um auditor SOC 2, você quer ter certeza de que não está se preparando para o fracasso.”
6. Faça uma auditoria prática do SOC 2
Uma execução prática é outra etapa importante a ser tomada antes da auditoria real, de acordo com várias autoridades do SOC 2. “É uma maneira de ajudar a garantir que você obtenha um resultado positivo”, diz Jim Routh, ex-CISO da Mass Mutual.
Isso certamente se aplica a organizações que agendam uma auditoria pela primeira vez, pois geralmente têm menos insights sobre o que e como os auditores fazem suas avaliações, diz Routh. Mas ele observa que mesmo aqueles com programas de segurança maduros se beneficiarão de uma simulação. Essas auto-auditorias, sejam feitas por funcionários ou consultores, podem detectar problemas: controles que não são tão eficazes quanto deveriam, ferramentas de relatórios que não geram dados necessários, software mal configurado que cria riscos – qualquer um dos quais pode comprometer um resultado positivo na auditoria real.
7. Priorize quais lacunas devem ser corrigidas
Essa auto-atestado é apenas o primeiro passo, diz Routh, que atualmente é membro do conselho e consultor de várias empresas, além de membro do conselho consultivo da Tandon School of Engineering da Universidade de Nova York. O próximo passo é abordar as lacunas e déficits identificados.
Yawn diz que aconselha os executivos a considerar cuidadosamente como priorizam as deficiências identificadas, já que as mudanças em uma área geralmente têm um impacto em cascata. Por exemplo, uma análise de lacunas pode ter revelado problemas nas políticas escritas, bem como na infraestrutura de tecnologia. E embora possa ser tentador atualizar as políticas para obter essa vitória rápida e fácil, Yawn diz que o problema maior e mais complexo – consertar a arquitetura – pode afetar como ou até mesmo se as políticas precisam ser reescritas.
8. Reúna provas
Ter um programa de segurança e privacidade maduro não é necessariamente suficiente para ter sucesso com uma auditoria SOC 2, de acordo com especialistas. Os auditores querem provas disso. A lista de materiais necessários pode ser extensa e ampla, variando de políticas de segurança administrativa e acordos de infraestrutura em nuvem a avaliações de risco e contratos de fornecedores.
“Um SOC 2 é muito rigoroso, então você precisa ter evidências para provar que tem os processos, está seguindo os processos, está operando conforme o esperado”, diz White, acrescentando que essa parte do trabalho de preparação reúne os vários elementos que fazem parte de uma operação de segurança e privacidade bem administrada. “Você analisa seus processos, políticas e procedimentos para garantir que estejam alinhados, bem documentados e corretos. E que eles estão prontos [para compartilhar]. Você deve saber o que o auditor do SOC pedirá para estar pronto para fornecê-lo.”
9. Evite uma mentalidade de lista de verificação
Embora os líderes de segurança concordem que há um valor significativo em ter uma auditoria SOC 2, eles dizem que é importante que cada organização adapte seus programas de segurança e privacidade às suas próprias necessidades exclusivas e não necessariamente aos critérios SOC 2. “Você precisa dar um passo atrás e certificar-se de que não está recebendo políticas e procedimentos padronizados. Certifique-se de que tudo está adaptado à sua organização”, diz Powers.
Routh concorda, observando como exemplo que os critérios de auditoria não exigem especificamente que as organizações implementem a nova tecnologia anti-ransomware agora no mercado, mas ainda vale a pena, embora não influencie o resultado de uma auditoria.
10. Lembre-se de que o objetivo é um melhor programa de segurança e privacidade de dados
Os chefes de segurança corporativa e seus colegas de nível C devem ter como objetivo ter um programa de segurança e privacidade de dados que possa estar pronto para uma auditoria a qualquer momento. Devem visar políticas consistentemente atualizadas; políticas e procedimentos que sempre atendem aos requisitos regulatórios e às melhores práticas; e controles e operações perfeitamente alinhados com suas políticas.
Os líderes de segurança enfatizam que esse trabalho não deve acontecer apenas em preparação para uma auditoria, ressaltando que, de fato, a auditoria SOC 2 Tipo 2 verifica se uma organização está realizando esse trabalho continuamente durante os 12 meses definidos para avaliação.
Ao mesmo tempo, eles reconhecem que nenhum programa de segurança e privacidade fará tudo isso perfeitamente – afinal, não existe perfeição em segurança. “As melhores empresas se preparam para a auditoria o ano todo porque faz parte de sua cultura, e o gerenciamento de risco é algo que elas fazem diariamente”, diz Perry. “Essas empresas não precisam ter alguém para trabalhar por duas semanas ou dois meses para se preparar para a auditoria porque estão sempre preparadas.”
FONTE: CSO ONLINE