SOC 2 (Trust Services Criteria) Atestação — segurança e privacidade

51 controles, organizados por grupo, com resumo em português.

Padrão de atestação de segurança mais pedido por cliente enterprise de software (SaaS/cloud), independente de região. O Common Criteria (Security, CC1-CC9) é obrigatório em todo relatório SOC 2; as outras quatro categorias — Disponibilidade, Confidencialidade, Integridade de Processamento e Privacidade — são adicionadas conforme o compromisso de serviço com o cliente, não por exigência universal.

Fonte oficial · A cor indica o perfil em que cada controle entra: Básico Intermediário Avançado.

Códigos CC1.1-CC9.2/A1.1-A1.3/C1.1-C1.2/PI1.1-PI1.5 são referências factuais (nomenclatura oficial da AICPA), verificados contra múltiplas fontes independentes convergentes — o texto integral (TSP Section 100) é documento comercializado pela AICPA, não domínio público, então não é reproduzido aqui. Privacidade é representada em nível de categoria (8 princípios alinhados à OCDE), não pelos ~18 pontos de foco oficiais — mesmo recorte de simplificação do módulo de COBIT. Divisão em perfis é didática.

CC1 Ambiente de Controle

CC1.1
Demonstrar compromisso com integridade e valores éticos em toda a organização, incluindo código de conduta formal. Sem um compromisso real (não só declarado) com ética, todos os outros controles ficam vulneráveis a atalho quando ninguém está olhando.
Básico
CC1.2
Ter supervisão do conselho/alta administração sobre o programa de segurança, independente da gestão operacional. Supervisão só da própria gestão operacional sobre si mesma tem viés estrutural — o conselho precisa poder questionar de fora.
Básico
CC1.3
Definir estrutura organizacional, linhas de reporte e autoridades de decisão de forma clara para segurança. Sem clareza de quem decide o quê, decisão de segurança urgente fica travada em ambiguidade de autoridade.
Básico
CC1.4
Demonstrar compromisso com competência: contratar, treinar e reter pessoal capacitado para as funções de segurança. Política de segurança bem escrita não executa sozinha — precisa de gente capacitada pra aplicá-la de verdade no dia a dia.
Intermediário
CC1.5
Atribuir responsabilidade (accountability) pelo controle interno a papéis específicos, não difusa entre todos. Responsabilidade difusa ('é de todo mundo') na prática vira responsabilidade de ninguém quando algo falha.
Intermediário

CC2 Comunicação e Informação

CC2.1
Identificar e obter a informação relevante e de qualidade necessária para apoiar o funcionamento do controle interno. Decisão de segurança tomada com informação incompleta ou desatualizada tende a ser decisão errada, mesmo com boa intenção.
Básico
CC2.2
Comunicar internamente os objetivos de segurança, políticas e mudanças relevantes a quem precisa saber. Política de segurança que ninguém no time conhece não protege nada — comunicação é parte do controle, não um extra.
Básico
CC2.3
Comunicar com partes externas (clientes, fornecedores, reguladores) sobre compromissos e responsabilidades de segurança. Cliente e fornecedor que não sabem o que esperar da sua postura de segurança não conseguem avaliar o próprio risco de trabalhar com você.
Intermediário

CC3 Avaliação de Risco

CC3.1
Especificar objetivos de segurança com clareza suficiente para permitir a identificação e avaliação de riscos a eles. Sem objetivo de segurança claro, não dá pra saber qual risco é relevante avaliar — tudo vira risco genérico demais pra agir.
Básico
CC3.2
Identificar e analisar riscos à segurança de forma sistemática, não ad hoc. Avaliação de risco feita de forma esporádica e informal deixa lacunas sistemáticas que uma avaliação estruturada pegaria.
Básico
CC3.3
Considerar o potencial de fraude na avaliação de risco de segurança (não só erro/falha não intencional). Controle desenhado só pra erro honesto não pega o cenário onde alguém está tentando ativamente burlar o sistema.
Intermediário
CC3.4
Identificar e avaliar mudanças (organizacionais, de sistema, de pessoal) que possam impactar a eficácia dos controles. Uma mudança de sistema, processo ou pessoal pode tornar um controle que funcionava obsoleto da noite pro dia, sem ninguém perceber.
Intermediário

CC4 Atividades de Monitoramento

CC4.1
Realizar avaliações contínuas e/ou pontuais para verificar se os controles de segurança estão presentes e funcionando. Controle implementado uma vez e nunca reavaliado tende a degradar silenciosamente com o tempo.
Intermediário
CC4.2
Avaliar e comunicar deficiências de controle identificadas às pessoas responsáveis por corrigi-las, em tempo hábil. De nada adianta encontrar uma falha de controle se ela não chega a quem tem autoridade e prazo pra corrigir.
Intermediário

CC5 Atividades de Controle

CC5.1
Selecionar e desenvolver atividades de controle que mitiguem os riscos identificados a um nível aceitável. Controle que não corresponde ao risco real da organização é esforço mal direcionado — segurança de verdade é proporcional ao risco.
Intermediário
CC5.2
Desenvolver controles gerais de tecnologia (acesso, desenvolvimento, operações) que apoiem os objetivos de segurança. Sem controle geral de TI consistente (acesso, mudança, operação), cada sistema vira uma ilha com seu próprio nível de proteção.
Intermediário
CC5.3
Implantar as atividades de controle por meio de políticas que estabeleçam o esperado e procedimentos que o coloquem em prática. Política sem procedimento correspondente é intenção sem execução — o procedimento é o que de fato acontece no dia a dia.
Intermediário

CC6 Controles de Acesso Lógico e Físico

CC6.1
Implementar controles de acesso lógico (MFA, SSO, controle por papel) sobre os ativos de informação protegidos. Acesso lógico mal controlado é a porta de entrada mais comum pra incidente de segurança — MFA e controle por papel reduzem drasticamente essa superfície.
Intermediário
CC6.2
Controlar o provisionamento de novos usuários por meio de fluxo de aprovação formal antes de conceder acesso. Conceder acesso sem aprovação formal é como dar chave sem saber quem está recebendo nem por quê.
Intermediário
CC6.3
Gerenciar modificação e remoção de acesso conforme mudança de função ou desligamento, de forma tempestiva. Acesso que não é revisto quando a função da pessoa muda vira acúmulo de privilégio (privilege creep) que ninguém decidiu conceder.
Avançado
CC6.4
Restringir acesso físico a instalações, data centers e mídias que contenham informação protegida. Acesso físico a um data center ou sala de servidores contorna toda proteção lógica que existir no sistema.
Intermediário
CC6.5
Encerrar o acesso lógico e físico quando não for mais necessário (desligamento, mudança de função, fim de contrato). Acesso de ex-funcionário ou ex-fornecedor que continua ativo é uma das causas mais comuns e mais evitáveis de incidente.
Intermediário
CC6.6
Implementar proteção de perímetro (segmentação de rede, firewall) e classificação de dados por sensibilidade. Sem segmentação de rede, um único ponto comprometido dá acesso lateral a tudo mais na mesma rede.
Avançado
CC6.7
Restringir a transmissão e remoção de informação por meio de criptografia e controles de prevenção de vazamento (DLP). Sem criptografia e DLP na transmissão, dado sensível pode vazar mesmo sem nenhuma falha de acesso — só de trafegar em claro.
Avançado
CC6.8
Proteger contra software malicioso ou não autorizado em toda a superfície de sistemas relevante. Software malicioso não detectado é um adversário já dentro do perímetro, operando com a confiança que o sistema dá a processos internos.
Avançado

CC7 Operações de Sistema

CC7.1
Identificar vulnerabilidades em componentes de sistema e gerenciar a remediação com prazos definidos. Vulnerabilidade conhecida e não corrigida é risco aceito por omissão, não por decisão — SLA de remediação torna isso uma decisão explícita.
Intermediário
CC7.2
Monitorar anomalias e eventos de segurança (ex.: SIEM, alertas) para detectar desvio do funcionamento esperado. Sem monitoramento de anomalia, um ataque em andamento pode passar despercebido por semanas ou meses.
Intermediário
CC7.3
Avaliar eventos de segurança identificados para determinar se configuram um incidente e qual sua gravidade. Nem todo evento suspeito é incidente — mas sem avaliação formal, incidente real pode ser tratado como ruído.
Avançado
CC7.4
Manter procedimentos documentados de resposta a incidentes, incluindo papéis e escalonamento. Resposta a incidente improvisada na hora costuma ser mais lenta e mais sujeita a erro do que uma seguindo procedimento já testado.
Intermediário
CC7.5
Estabelecer e testar procedimentos de recuperação após um incidente de segurança. Recuperação nunca testada tende a falhar exatamente na hora que mais importa, quando a pressão do incidente real já está em curso.
Avançado

CC8 Gestão de Mudanças

CC8.1
Autorizar mudanças em componentes de sistema por meio de revisão por pares e portões de aprovação formais antes de ir a produção. Mudança em produção sem revisão por pares é a porta de entrada mais comum pra bug ou vulnerabilidade introduzida sem querer.
Intermediário

CC9 Mitigação de Risco

CC9.1
Desenvolver e testar planos de continuidade de negócio e recuperação de desastre. Plano de continuidade que nunca foi testado é uma suposição, não uma garantia — testar é o que revela a lacuna antes do desastre real.
Intermediário
CC9.2
Gerenciar risco de fornecedores e parceiros de negócio por meio de avaliação documentada antes e durante a relação. Um fornecedor com acesso ao seu ambiente ou dado é uma extensão da sua superfície de risco, mesmo fora do seu controle direto.
Avançado

A1 Disponibilidade

A1.1
Gerenciar capacidade e monitorar desempenho para manter a disponibilidade comprometida com o cliente. Sem gestão de capacidade, um pico de uso legítimo pode causar a mesma indisponibilidade que um ataque causaria.
Intermediário
A1.2
Proteger contra ameaças ambientais (energia, temperatura, desastre físico) e viabilizar a recuperação do sistema. Ameaça ambiental (queda de energia, incêndio, enchente) é risco físico que nenhum controle lógico sozinho resolve.
Avançado
A1.3
Testar e validar periodicamente a infraestrutura de recuperação, não só documentá-la. Infraestrutura de recuperação nunca testada na prática costuma ter uma lacuna que só aparece quando é tarde demais.
Avançado

C1 Confidencialidade

C1.1
Identificar e proteger informação classificada como confidencial durante todo o ciclo de vida dela no sistema. Sem classificar o que é confidencial, não dá pra aplicar proteção proporcional — tudo fica com o mesmo nível de cuidado, geralmente insuficiente pro que mais importa.
Avançado
C1.2
Descartar informação confidencial de forma segura, conforme política de retenção, ao final do ciclo de vida dela. Descarte inadequado (não apagar de verdade, mídia física não destruída) deixa dado confidencial recuperável depois do fim do ciclo de vida pretendido.
Avançado

PI1 Integridade de Processamento

PI1.1
Definir objetivos de processamento completo, preciso, oportuno e autorizado, alinhados às especificações do serviço. Sem objetivo de processamento claro, não dá pra saber se o sistema está de fato entregando o que prometeu ao cliente.
Avançado
PI1.2
Garantir que as entradas do sistema sejam completas, precisas e válidas antes do processamento. Entrada inválida ou incompleta que passa sem validação se propaga como erro por todo o processamento seguinte.
Avançado
PI1.3
Confirmar que o processamento em si é completo, preciso, oportuno e autorizado, sem alteração indevida no meio do caminho. Processamento alterado no meio do caminho (por bug ou ação maliciosa) produz resultado que parece correto mas não é.
Avançado
PI1.4
Validar que as saídas do sistema são completas, precisas e entregues de forma oportuna. Saída incompleta ou atrasada quebra a confiança do cliente no serviço, mesmo que a causa raiz esteja em outro lugar do processo.
Avançado
PI1.5
Manter a integridade, precisão e disponibilidade do dado armazenado durante todo o tempo em que fica retido. Dado que perde integridade enquanto armazenado invalida qualquer garantia dada sobre o processamento que o gerou.
Avançado

P Privacidade

P.1
Dar aviso claro sobre as práticas de privacidade antes ou no momento da coleta do dado pessoal. Coleta sem aviso prévio tira do titular a capacidade de decidir se quer participar daquele tratamento.
Avançado
P.2
Oferecer escolha e mecanismo de consentimento genuíno sobre o uso do dado pessoal coletado. Consentimento presumido ou difícil de recusar não é escolha real — é aparência de conformidade.
Avançado
P.3
Coletar dado pessoal só pelos meios e na medida descritos no aviso de privacidade. Coletar além do que o aviso descreve quebra a expectativa que o próprio titular formou ao aceitar o aviso.
Avançado
P.4
Definir e cumprir política de uso e retenção do dado pessoal alinhada à finalidade informada. Reter dado além do necessário pra finalidade original só aumenta o risco de exposição sem nenhum benefício correspondente.
Avançado
P.5
Garantir ao titular acesso ao próprio dado pessoal, com meio de corrigi-lo quando necessário. Sem acesso ao próprio dado, o titular não tem como verificar se a organização está de fato fazendo o que diz.
Avançado
P.6
Controlar a divulgação do dado pessoal a terceiros conforme o consentimento e aviso dados ao titular. Compartilhar dado com terceiro fora do que foi consentido é usar a informação além do que o titular autorizou.
Avançado
P.7
Manter qualidade do dado pessoal: completo, preciso e relevante para a finalidade do tratamento. Dado impreciso sobre uma pessoa pode gerar decisão errada a respeito dela, às vezes com consequência real.
Avançado
P.8
Monitorar a conformidade do programa de privacidade e ter mecanismo de resposta a reclamação do titular. Programa de privacidade sem monitoramento próprio só descobre uma falha quando um titular reclama ou um incidente acontece.
Avançado